case-review

Revisão do Grafo de Evidências

Use esta skill quando um caso de engenharia reversa, forense, CTF ou segurança autorizada precisa de uma entrega defensável. Ela audita o pacote work/<case>/ existente sem modificar o caso ou tocar em um alvo.

Escopo

Esta skill abrange:

• Metadados de escopo e prontidão de alvo-atividade
• Estrutura de registros de evidência e campos de reprodutibilidade
• Referências de itens de trabalho e entradas de linha do tempo para Evidência
• Descobertas e Caminhos estruturados no Markdown do relatório
• Verificação opcional de SHA-256 para artefatos locais do caso
• Um resultado de revisão em Markdown ou JSON para entrega de relatório

NÃO DEVE realizar reconhecimento, exploração, instrumentação dinâmica ou alterações no alvo. Essas ações pertencem à skill de análise roteada e exigem a gate de escopo do caso.

AÇÃO REQUERIDA

1. AGORA: leia ../field-journal/precedent-reverse.md e confirme que esta é uma revisão de um pacote de caso autorizado existente.
2. AGORA: confirme o caminho do caso e escolha o modo de revisão somente leitura.
3. PRÓXIMO: leia ../tool-index.md; esta skill usa apenas a biblioteca padrão do Python 3 e não requer bootstrap.
4. PRÓXIMO: execute python3 scripts/review_case.py <case-root> --format markdown.
5. AÇÃO: resolva cada erro e, em seguida, reexecute a revisão antes de considerar a entrega concluída.

Dependências de ferramentas

Ferramenta	Obrigatório	Propósito	Auto-bootstrap
Python 3.9+	Sim	Executa o script de revisão de caso somente leitura	Não, usar a instalação do Python da plataforma

Nenhum acesso à rede ou pacote de terceiros é necessário.

Fluxo de trabalho

Fase 1: Recepção

Execute a revisão no diretório do caso existente:

python3 skills/case-review/scripts/review_case.py work/<caso> --format markdown

Confirme que scope.md, timeline.md, workitems.md e evidence/ estão presentes. Uma revisão não estrita relata avisos de escopo, enquanto uma revisão estrita trata os avisos como bloqueadores de entrega.

Próximos passos sugeridos (escolha um número)

1. Corrigir os campos de autorização, escopo ou network_profile em scope.md
2. Continuar verificando os comandos reproduzíveis e a origem dos registros de Evidência
3. Exportar o resultado atual da revisão e anexar ao relatório intermediário
4. Trocar para saída JSON para integrar com CI ou outras ferramentas de revisão
5. Pausar e confirmar o escopo da revisão primeiro

Fase 2: Rastreabilidade

Revise as verificações para:

• IDs de Evidência que não existem
• Descobertas sem evidence_ids
• Caminhos sem um path_type permitido ou referência de Evidência
• Itens de trabalho e entradas de linha do tempo apontando para Evidência desconhecida
• Registros de Evidência não vinculados
• Descobertas validadas com baixa confiança

Uma observação offline pode usar repro_command: n/a somente quando seu campo notes documentar explicitamente a limitação offline.

Use JSON quando outra ferramenta precisar de campos estáveis:

python3 skills/case-review/scripts/review_case.py work/<caso> --format json

Próximos passos sugeridos (escolha um número)

1. Preencher a Evidência ausente e manter o comando original
2. Vincular a Descoberta candidata à Evidência e reexaminar
3. Adicionar P-id e etapas de Caminho para a cadeia de chamadas ou ataque
4. Gerar um resumo de entrega em Markdown
5. Voltar para a skill PRIMÁRIA e continuar a análise

Fase 3: Verificação de integridade

Quando um registro de Evidência contiver content_hash e artifact_path, verifique o artefato local do caso:

python3 skills/case-review/scripts/review_case.py work/<caso> --verify-hashes --strict

O script aceita sha256:<64 caracteres hexadecimais> e verifica se o artefato permanece dentro da raiz do caso. Uma incompatibilidade de hash é uma falha grave.

O auxiliar PowerShell de Evidência pode registrar um hash enquanto anexa um registro:

powershell -File skills/scripts/append-evidence.ps1 -CaseRoot work\<caso> -Id E-001 -Title "Hash de exemplo" -ReproCommand "sha256sum evidence/sample.bin" -ArtifactPath "evidence\sample.bin"

Próximos passos sugeridos (escolha um número)

1. Corrigir a incompatibilidade de hash ou substituir a cópia de trabalho corrompida
2. Adicionar SHA-256 e artifact_path para arquivos brutos não fixados
3. Continuar para a fase de geração de relatório
4. Exportar resultado JSON para CI salvar
5. Pausar e solicitar revisão manual

Fase 4: Entrega

Use o modo estrito antes de um relatório final ou entrega para especialista:

python3 skills/case-review/scripts/review_case.py work/<caso> --strict --format markdown > work/<caso>/report/case-review.md

O comando é somente leitura em relação ao caso, a menos que o redirecionamento de shell seja explicitamente usado para salvar sua saída. A revisão não é aconselhamento jurídico e não substitui os procedimentos organizacionais de tratamento de evidências.

Próximos passos sugeridos (escolha um número)

1. Entregar o resultado da revisão aprovada para docs-generator/ gerar o relatório formal
2. Voltar para a skill PRIMÁRIA para preencher novas evidências de análise
3. Arquivar os resultados da revisão em Markdown e JSON
4. Pausar e solicitar revisão manual

Contrato de comportamento de idioma

• Raciocínio interno, seleção de ferramentas e controle de fase: Inglês.
• Mensagens visíveis ao usuário, rótulos de seção, relatórios e menus de próximos passos: Chinês, a menos que o usuário solicite outro idioma.
• Os rótulos bilíngues padrão colocam o Chinês primeiro e o Inglês em segundo, separados por "/".

Limite de bootstrap

Esta skill não tem dependência de terceiros. Se o Python 3 não estiver disponível, a única ação de recuperação permitida é o caminho de bootstrap do repositório quando uma capacidade Python estiver registrada para a plataforma atual. Se nenhuma capacidade desse tipo estiver registrada, pare e reporte o runtime ausente. Não adivinhe caminhos de executáveis, baixe pacotes ou realize uma instalação manual de dentro desta skill.

Contexto de roteamento

Entrada upstream: qualquer skill de engenharia reversa, forense, CTF ou segurança autorizada que tenha produzido um pacote de caso.

Saída downstream: docs-generator/ para um relatório formal, ou a skill PRIMÁRIA original quando o grafo estiver incompleto.

Módulos relacionados: ops/evidence-finding-path.md, ops/timeline-workitem.md, digital-forensics/, reverse-engineering/ e docs-generator/.

Referências

• NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response
• SWGDE Best Practices for Computer Forensic Acquisitions
• SWGDE Best Practices for Archiving Digital and Multimedia Evidence

Auto-verificação de conclusão de tarefa

• Eu revisei scope.md, timeline.md, workitems.md e evidence/?
• Todas as Descobertas referenciam Evidência existente?
• Todos os Caminhos contêm path_type válido e referência de Evidência?
• A verificação de hash foi executada, ou o motivo da não execução foi registrado?
• A revisão foi reexecutada no modo estrito e o resultado foi salvo?